AI 해킹 앞에 새는 개인정보, 시민이 보안의 빈틈을 떠안고 있다

대출을 받으려고 맡긴 정보였다

신한은행은 10월 1일 대출 신청 고객 약 2만5천 명의 개인정보가 유출됐다고 밝혔다. 이름과 전화번호뿐 아니라 연소득과 대출 산출 한도 등도 유출 항목에 포함됐다. 금융감독원은 6일 조사에 착수했다.[1](https://www.newspim.com/news/view/20261001000665)[2](https://www.newspim.com/news/view/20261006001443)

시민은 대출 심사를 받기 위해 자신의 경제 사정을 금융회사에 맡긴다. 그 정보가 밖으로 새면 전화번호 하나의 노출로 끝나지 않는다. 소득과 대출 필요를 아는 상대가 접근할 가능성이 생기고, 시민은 자신에게 온 연락이 진짜 금융 안내인지 다시 확인하는 비용을 치른다. 이는 확인된 2차 피해 규모가 아니라 유출 정보의 성격에서 예상되는 위험이다.

은행은 피해 전액 보상 방침을 밝혔다. 그러나 보상 약속과 실제 접수·심사·지급은 다른 단계이다. 확인된 사건 경과와 후속 조치는 [「은행에 맡긴 내 정보가 새었다…AI 해킹 조사와 보상 기록」](/monitoring/banking-privacy-ai-hacking-tracker-2026)에 따로 기록했다. 이 논평은 반복되는 유출의 배경과 대응의 빈틈을 살핀다.

AI가 공격을 빠르게 만들수록 기본 보안의 빈틈은 커진다

최근 금융권 공격 흔적에서 ARTEX라는 AI 기반 침투 테스트 도구와 관련된 정황이 보도됐다. 침투 테스트는 시스템의 약점을 미리 찾는 보안 점검이다. 이런 도구가 공격에 사용되면 점검 기능이 침입 수단으로 바뀔 수 있다. 도구의 흔적이 발견됐다는 것과 AI가 공격 전부를 스스로 수행했다는 것은 같은 사실이 아니다.[3](https://www.news1.kr/it-science/security-hacking/6310284)

안랩은 10월 7일 ARTEX 관련 분석에서 계획을 세우는 에이전트와 작업을 수행하는 에이전트, 외부 도구를 연결하는 구조를 설명했다. 공격 표면 탐색과 취약점 검증을 여러 작업으로 나누어 진행하는 방식이다. AI는 이런 작업의 속도와 규모를 키우는 수단으로 볼 수 있다. 다만 분석된 인프라 전체가 악성이라는 뜻이나 이번 사건의 모든 침입 단계가 무인으로 이뤄졌다는 결론은 아니다.[4](https://www.ahnlab.com/ko/contents/content-center/36300)

새로운 공격 도구의 등장은 기업의 관리 책임을 지우지 않는다. 고객 정보를 처리하는 외부 연계 시스템까지 자산 목록과 접근 권한, 취약점 점검에 포함됐는지가 핵심이다. AI 공격을 앞세우는 설명만으로 정보가 보관된 곳의 관리 공백을 덮을 수는 없다.

신고는 늘었고 조사는 늦어졌다

개인정보보호위원회가 공개한 2025년 유출 신고는 447건이다. 2024년 307건보다 45.6% 늘었다. 국회 제출 자료를 인용한 보도에 따르면 2026년 상반기에는 432건이 신고됐다. 반년의 신고가 전년도 전체의 96.6%에 이르렀다.[5](https://m.korea.kr/briefing/pressReleaseView.do?newsId=156761788&pWise=mSub&pWiseSub=C3)[6](https://www4.ajunews.com/view/20260916080246240)

이 수치는 신고된 사건의 건수이다. 유출된 정보의 총량이나 피해 시민 수가 아니다. 같은 사람이 여러 사건에 포함될 수 있고 신고 시점과 실제 침입 시점도 다를 수 있다. 2026년 상반기를 한 해 전체와 곧바로 비교해 연간 증가율로 쓰거나, 이 수치만으로 특정 정부의 정책이 유출을 일으켰다고 단정하는 것은 근거가 부족하다.

조사 개시부터 의결까지 평균 처리기간은 2025년 345일에서 2026년 상반기 369일로 길어졌다. 일부 조사관이 80~90건을 맡았다는 국회 자료도 보도됐다. 개인정보 유출 조사가 늦어지고 있는 것이다. 이 평균은 이번 신한은행 사건에 걸린 시간이 아니며, 보상 지급까지의 기간도 아니다.[7](https://www3.edaily.co.kr/News/Read?mediaCodeNo=257&newsId=03421046645608984)

정보를 잃은 시민에게 사후 처분은 중요하다. 그러나 처분이 나오는 동안 위험한 시스템을 막고 유출 범위를 알리는 조치도 중요하다. 신고 증가와 조사 지연을 함께 보면 대응 역량이 늘어나는 사건을 따라가지 못하는 문제를 살펴볼 근거가 있다고 판단된다.

기업의 부실과 국가 대응의 분산이 함께 놓여 있다

김수현·김종성의 2025년 연구는 한국의 사이버안보 체계에서 공공·민간 영역의 분리와 권한·책임 분산, 협력의 비효율을 지적했다. 아산정책연구원의 신소현 연구도 사이버안보의 법과 전략을 다루며 법적 기반의 공백을 문제로 제기했다. 이는 이번 은행 유출을 조사한 결과가 아니라 국가 대응 체계를 검토한 연구이다.[8](https://www.kci.go.kr/kciportal/landing/article.kci?arti_id=ART003291753)[9](https://asaninst.org/bbs/board.php?bo_table=s1_1&wr_id=546)

반복되는 정보 유출의 배경에는 기업의 보안 부실과 함께 국가 대응 체계의 분산, 협력 부족, 정보활동의 법적 기반 문제가 놓여 있는 것으로 판단된다.

여기서 정보활동의 법적 기반은 사이버 위협정보의 수집·공유와 대응에 관한 권한, 절차, 책임을 뜻한다. 법적 공백을 메운다는 이유로 시민의 정보를 제한 없이 모으는 체계까지 정당화되는 것은 아니다. 정보 접근의 범위와 보유 기간, 독립적인 통제도 그 기반의 일부이다.

기업 내부에서 발견된 위험이 관계 기관에 제때 전달되고 다른 기업의 방어로 이어지는 체계가 중요하다. 기관이 여러 곳이라는 사실 자체가 실패의 증거는 아니다. 다만 분산된 책임 사이에서 정보 공유와 초기 대응이 늦어진다면 시민이 그 공백의 비용을 부담하는 구조로 볼 수 있다. 이번 사건에서 어느 단계의 협력이 실제로 부족했는지는 조사 결과로 확인될 부분이다.

점검을 했다는 말보다 달라진 결과가 중요하다

금융위원회는 10월 6일 설명자료에서 금융권에 보안 강화를 당부해 왔다고 밝히고 취약점 점검의 주기·범위·이행력을 높이는 개선안을 준비 중이라고 설명했다. 8일 국정감사에서는 금융위원장이 기본적인 대응도 미흡했다는 취지로 인정했다. 경고와 점검이 있었어도 유출이 반복됐다는 사실이 남았다.[10](https://www.fsc.go.kr/no010102/87885)[11](https://ir.newspim.com/news/view/20261008000854)

개선의 기준은 점검 횟수만이 아니다. 누락됐던 시스템이 관리 목록에 들어갔는지, 같은 공격 흔적이 금융회사 사이에 얼마나 빨리 공유됐는지, 사고 뒤 시민에게 유출 항목과 보호 조치가 얼마나 빨리 전달됐는지가 실제 결과이다.

AI 해킹은 새로운 위협이다. 그러나 정보를 맡긴 시민의 권리는 새로 생긴 권리가 아니다. 기업의 기본 보안과 국가의 협력 체계, 시민의 피해 구제가 함께 움직일 때 대응이 달라졌다고 볼 수 있다. 시민에게 맡겨진 확인과 불안의 비용까지 줄어드는 보안 체계가 필요한 것으로 생각된다.

시민이 지켜볼 점

• 금융권 조사에서 확정된 침입 경로와 유출 항목
• 외부 연계 시스템을 포함한 점검 범위의 변화
• 위협정보 공유와 초기 대응의 실제 기록
• 피해 접수·심사·보상 지급 현황

씨드의 관점

반복 유출의 구조적 배경에 관한 평가는 이번 사건의 직접 원인이 모두 규명됐다는 뜻이 아니다. 기업의 보안 관리와 국가 대응 체계는 함께 검토할 사안이다.

사건 경과와 남은 확인 항목은 [뉴스트래커](/monitoring/banking-privacy-ai-hacking-tracker-2026)에서 이어서 볼 수 있다.